08.11.2022 - Rispetto alla rilevazione precedente il numero di segnalazioni pervenute all’NCSC è di nuovo aumentato leggermente. Nelle ultime settimane si è registrato un sensibile incremento di account hackerati presso svariati servizi online. Utilizzare password diverse e un password manager permette di ridurre sensibilmente i danni in caso di fughe di dati.
Aumentano gli attacchi ad account online di privati
Le password trafugate vengono da tempo sfruttate per la fake sextortion. I dati sono utilizzati come prova per conferire maggiore credibilità agli attacchi. L’NCSC ha trattato dettagliatamente l’argomento nella retrospettiva settimana 27.
Ora i dati trafugati, la cui origine non è ancora del tutto chiara, vengono sfruttati anche per altri tipi di hackeraggio. Potrebbero provenire da un’ampia fuga di dati subita da un servizio web o da una campagna di phishing.
Gli hacker tentano di accedere agli account di social media utilizzando i dati trafugati. Se ci riescono, caricano materiale pornografico e fanno bloccare questi account, ad esempio per corroborare le loro affermazioni negli attacchi di fake sextortion, oppure tentano di prendere il controllo di altri account pescando dalla lista degli amici o di attirare questi ultimi nella truffa dell’investimento con pubblicità su misura.
Gli aggressori tentano anche di entrare in account di diversi shop online, come mostrano le segnalazioni all’NCSC concernenti operatori telefonici, Amazon, Uber, airbnb, Netflix, Discord, Playstation e altri. Se gli hacker riescono a violare un account di posta elettronica, spesso possono cambiare anche le password utilizzate, modificare l’indirizzo e-mail registrato e a volte addirittura il numero di telefono. Il controllo degli hacker sull’account è quindi totale.
In un caso segnalato all’NCSC gli aggressori hanno utilizzato un account di posta elettronica hackerato per creare un profilo Uber Eats e si sono fatti consegnare cibo da qualche parte in Sud America. Il pagamento è stato effettuato utilizzando dati di carte di credito rubati. Lo stesso modus operandi è già stato osservato anche con account Amazon.
Proteggere gli account dagli hacker
Se una vittima utilizza la stessa password per più servizi online, gli hacker possono prendere il controllo anche di altri servizi in tempi relativamente brevi. Per una protezione efficace è necessaria una password diversa per ogni registrazione o servizio. L’elevato numero di password che ne risulta può essere gestito con un password manager (ad es. KeePass, Keeper o Enpass). La banca dati criptata delle password può essere usata su dispositivi diversi. Esistono anche password manager su cloud (ad es. SecureSafe, LastPass, 1Password o Bitwarden). Anche i produttori di browser offrono soluzioni per scambiare dati online in modo sicuro tra dispositivi diversi. Tuttavia, le ultime due soluzioni sono ritenute generalmente meno sicure delle password salvate localmente, dato che una vulnerabilità o una configurazione sbagliata potrebbe rendere accessibile i dati anche a sconosciuti.
Se il vostro provider di posta elettronica offre un’autenticazione a due fattori dovreste assolutamente attivarla.
Per una maggiore sicurezza si possono utilizzare indirizzi e-mail diversi in base alle circostanze. (ad es. uno per le iscrizioni ai diversi servizi Internet e un altro per le comunicazioni).
Misure
- La password non deve essere utilizzata più volte. Usate una password diversa per ogni servizio online.
- Se possibile attivate l’autenticazione a due fattori. Proteggete l’accesso ai vostri servizi Internet con un’autenticazione a due fattori («one-time password», token SMS ecc.).
- Lunghezza minima: 12 caratteri. Le password dovrebbero essere lunghe almeno 12 caratteri e comprendere lettere minuscole e maiuscole, cifre e caratteri speciali.
- ambiate la password: una password deve essere cambiata al più tardi quando si sospetta che possa essere nota a terzi.
- Utilizzate un password manager: dovete memorizzare soltanto la password per accedere al programma. Bisognerebbe sempre conservare una copia aggiornata del password manager in un luogo sicuro.
Numeri e statistiche attuali
Segnalazioni della scorsa settimana per categoria:
Ultima modifica 08.11.2022
